Las noticias sobre ciberataques de ransomware en organizaciones de todos los sectores y tamaños son continuas. Ni siquiera las todopoderosas multinacionales ni los organismos públicos se libran de ellos. Por eso es importante que las Pymes, que no cuentan con sus recursos, entiendan su alta vulnerabilidad si no se protegen adecuadamente. ¿Son conscientes de cuánto cuesta un ataque ransomware?
Este es el planteamiento del reportaje ‘El coste real de un ataque de ransomware: ¿desconocimiento o pasotismo?’ que ha publicado la revista Dealer World en su número de noviembre y en el que ha participado Pilar García Garzón, directora general de Orbit Consulting Group.
Estas son las reflexiones que Pilar García Garzón compartió con el medio:
¿Suelen ser conscientes las empresas de cuál podría llegar a ser el coste de un ataque de ransomware?
El ransomware es el tipo de ciberdelito que más está creciendo. Casi todas las empresas conocen a otras de su sector que han sido víctimas de uno. Así que sí son conscientes de su existencia y de sus riesgos; otro tema es que identifiquen correctamente la inversión que deben llevar a cabo para plantarle cara. La clave es hacerles entender que ya no son válidas las soluciones de seguridad que utilizaban en el pasado. Que el perímetro de seguridad ha desaparecido y que es necesario tener un planteamiento Zero Trust, de desconfianza absoluta respecto por dónde se canalizará un ataque ransomware.
¿Qué porcentaje de las que lo saben no hacen nada, incluso para evitarlos, porque creen que nunca recibirán uno?
Es difícil encontrar empresas que no tengan en mente este tipo de ciberataque. Lo que difiere es su mayor o menor laxitud a la hora de buscar soluciones para afrontarlo. Las cifras dejan sin argumentos a las más remisas. En el informe ‘El Estado del ransomware 2021’ de Sophos en el que participaron 150 empresas españolas, se apunta que el 44% habían sufrido un ciberataque ransomware el pasado año. A nivel global, Cybersecurity Ventures, empresa líder en investigación sobre cibereconomía y ciberseguridad, estima que para finales de este año cada 11 segundos una empresa será víctima de este tipo de amenaza. No hay motivos para sentirse intocable.
¿Cuánto cuesta un ataque de ransomware?
En el informe de Sophos comentado anteriormente, se indicaba que el coste medio del rescate pagado por las empresas españolas en 2020 había sido de 103.567 dólares. A esta cantidad habría que sumar el coste de la recuperación, que en las empresas españolas alcanzó una cifra cercana a 260.000 euros el año pasado, una partida que en 2021 aumenta hasta los 500.000 euros, es decir prácticamente el doble.
Los gastos por daños son abrumadores a nivel mundial. Cybersecurity Ventures prevé que alcancen los 20.000 millones de dólares este año, es decir 57 veces más que en 2015.
¿Qué es peor, el coste económico o el de reputación que sufre la imagen de la empresa?
Es un error pensar solo en el rescate que hay que pagar a los ciberdelincuentes. Un ataque ransomware lleva ocultos otros muchos costes tangibles e intangibles que se traducen en grandes gastos que pueden poner en peligro el futuro de la empresa. Me refiero al impacto que tiene en el negocio la destrucción, el daño o la pérdida de datos, el tiempo de inactividad durante el ataque y tras él hasta que se vuelve a la normalidad, la investigación forense, todas las operativas de restauración de los datos y sistemas, etc.
A todo esto hay que sumar una pérdida de reputación que se traduce en desconfianza por parte del ecosistema de clientes, partners y proveedores. Sin olvidar las consecuencias legales en forma de sanciones que estipula el RGPD.
¿Cómo se ha de modular el mensaje de manera sencilla para que las empresas sepan lo importante que es protegerse ante un ataque de estas características?
Lo que hay que transmitir es la idea de que la protección ante el ransomware debe ser transversal. No atañe solo a los responsables de tecnología y seguridad de la empresa. Es fundamental incorporar a todos los empleados en la lucha contra esta amenaza, no en vano la ingeniería social es su principal canal de transmisión, es decir mediante correos electrónicos de phishing que suplantan identidades de confianza. Por lo tanto, la primera acción de ciberdefensa es asegurarse de que toda la empresa entiende qué es el ransomware, cómo infecta y cómo se combate.
¿Es esa la labor del Canal, o cree que su actuación es aún mucho más compleja?
El nivel de sofisticación de los ciberataques hace muy difícil que los equipos internos de las empresas sean capaces de resolver los retos que plantean el ransomware y otras ciberamenazas. La verdadera fuerza del canal en este campo, como en otros, está en proporcionarles servicios que cubran sus carencias. Esos servicios no deben limitarse al despliegue de tecnologías que obstaculicen el éxito de las ciberamenazas mediante su prevención, detección y remediación. También es fundamental que lideren formaciones para que los empleados sepan reconocer y defenderse ante el ransomware. Además de realizar una evangelización continua en los cuadros directivos para que no se baje la guardia.
Orbit Consulting Group es una empresa especializada en diseñar e implantar soluciones de arquitectura TI para pymes y empresas de Madrid, y el resto de España. Combina esta expertise con el diseño e implantación de soluciones de Negocio y Gestión (CRM/BPM-ERP) ágiles, sencillas y asequibles. Además, proporciona Soporte Informático y Servicios Gestionados TI.
